Ordivis™ Winterdienst
Eine Positionsangabe alle zehn Sekunden ist eine Bewegungsspur einer Arbeitsschicht. Was daraus über einen Beschäftigten aussagbar bleibt, entscheidet nicht die Zusage in einer Vereinbarung, sondern das, was die Anwendung erst gar nicht erhebt, nicht schreibt und nicht herausgibt. Diese Seite zählt es auf — mit dem Grund, aus dem es so ist.
Muster einer Dienstvereinbarung Warum das Protokoll trotzdem trägt
Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen. Eine Maßnahme, die sich abschalten lässt, ohne dass es auffällt, ist keine. Deshalb sind die Punkte auf dieser Seite keine Einstellungen, die jemand vergessen könnte, sondern das Verhalten der ausgelieferten Anwendung — und wo es doch eine Einstellung ist, steht es dabei.
Wer fährt
Für den Entlastungsbeweis zählt, dass geräumt wurde und wo. Wer am Steuer saß, wird erst gebraucht, wenn jemand als Zeuge auszusagen hat — und dann genügt eine Liste beim Baubetriebshof.
Der Betreiber pflegt die Kennungen als Liste; der Fahrer wählt daraus und kann nichts anderes eintragen. Ohne diese Liste tippt jeder selbst, und nach einer Saison steht dieselbe Person im Bestand unter Fahrer 3, Fahrer3 und F3 — die Pseudonymisierung wäre unterlaufen und die Auswertung dahin.
Wer hinter einer Kennung steht, führt der Baubetriebshof außerhalb des Geräts. Wüsste die App es, läge der Klarname wieder im Ausgang, im Dateinamen und in der Versandnachricht — und die Kennung wäre umsonst.
Strecke_F1_20261120_0614.csv — mehr nicht. Dateinamen und
Betreffzeilen erscheinen in Verzeichnislisten, Sicherungsindizes, Postfachlisten
und Kopfzeilen. Kein Löschkonzept erreicht diese Orte.
Auf einem Fahrzeuggerät mit wechselnden Fahrern stünde sonst der vorige da — das Protokoll schriebe die Fahrt der falschen Person zu. Als Beweismittel wäre es falsch und als Angabe unrichtig.
Wie genau
Der Takt läuft auch im Stand, damit die Standzeit belegt ist — aber eine Pause von 26 Minuten erzeugt keine 150 deckungsgleichen Punkte mehr, sondern eine Zeile mit Dauer und Taktzahl. Ein stehendes Fahrzeug behandelt keine Straße. Was die 150 Punkte zusätzlich hergaben, war allein die minutengenaue Rekonstruktion einer Pause.
Das sind rund 1,1 Meter — genauer, als jeder Sensor im Fahrzeug liefert. Die sechste Stelle behauptete eine Genauigkeit, die es nicht gibt, und lud dazu ein, aus ihr etwas abzulesen.
Bei einer Handstreuung fragt die App, ob der begangene Weg mitgezeichnet werden soll; vorbelegt ist nein. Ort, Beginn und Ende stehen ohnehin im Protokoll — der Nachweis, dass der Gehweg behandelt wurde, hängt nicht an der Spur eines Menschen zu Fuß.
Beim Eintragen eines Vorkommnisses steht darunter: Keine Namen eintragen — der Text geht unverändert ins Protokoll. Der häufigste Weg, auf dem personenbezogene Daten Dritter in eine Akte geraten, ist ein gut gemeintes Freitextfeld.
Was das Gerät verlässt
Die App sendet über das Dienstpostfach der Verwaltung — oder legt die Datei in einen Ordner auf dem Gerät, wenn kein Postfach hinterlegt ist. Es gibt kein Herstellerkonto, keinen Zwischenspeicher bei uns und keine Anmeldung.
Bis der Versand bestätigt ist, liegt das fertige Protokoll mit AES-256 verschlüsselt im Gerät; der Schlüssel entsteht im Sicherheitselement und verlässt es nie. Bei fehlendem Netz im Einsatzgebiet wartet ein Protokoll unter Umständen die ganze Nacht — ein verlorenes Fahrzeuggerät gibt dann keine Bewegungsspur preis.
Warnungen und Messwerte des Deutschen Wetterdienstes werden für eine feste Koordinate im Gemeindegebiet geholt, nicht für den Standort des Fahrzeugs. Innerhalb einer Gemeinde ist es dieselbe Station und derselbe Messwert — es gab nie einen Grund, die Fahrposition fortzuschicken.
Es dient der Fehlersuche und damit einem anderen Zweck als dem Nachweis. Eingeschaltet wird es für einen benannten Anlass, es vergisst nach 14 Tagen von selbst und nennt die Fahrerkennung nicht — Strecke und Zeitpunkt ordnen jeden Fehler eindeutig ein.
Am Rechner
Eine Auswertungssperre, die nur auf dem Papier steht, lässt sich nicht überprüfen. Das Windows-Programm fragt deshalb vor jedem Protokoll nach dem Anlass — und hält ihn fest.
Zur Wahl stehen die fünf Anlässe, die eine Dienstvereinbarung üblicherweise zulässt — Schadensmeldung, Beschwerde, Anfrage einer Versicherung oder eines Gerichts, Prüfung eines technischen Fehlers, Antrag eines Beschäftigten auf Einsicht. Getrennt davon steht Einrichtung, Testfahrt oder Vorführung für Protokolle, die keinen Dienst belegen.
Festgehalten werden Nummer, Zeitpunkt, Benutzer, Rechner, Anlass, Datei, Strecke, Zeitraum und Kennung — als Tabelle neben der Geräteliste. Der Personalrat bekommt seine Übersicht, ohne dass jemand ein Blatt ausfüllt.
Grenzen
Das Prüfprogramm kennt keine Anmeldung. Wer Programm und Datei hat, sieht das vollständige Protokoll. Der Zugriffsschutz entsteht über die Berechtigungen des Ablageordners und des Funktionspostfachs — das ist einzurichten und zu dokumentieren, keine Selbstverständlichkeit. Was das Programm herstellt, ist die Nachweisbarkeit, nicht die Verhinderung.
Die Verschlüsselung endet am Gerät. Sie sichert die Wartezeit bis zum Versand, nicht die Aufbewahrung beim Betriebshof.
Die Zuordnungsliste führt ein Mensch. Sie ist wie ein Beweismittel zu führen: datiert, mit benannter Vertretung, so lange aufbewahrt wie die Protokolle. Löst sie nicht mehr auf, ist im Streitfall kein Zeuge mehr zu benennen — und dann nützt die schönste Pseudonymisierung nichts.
Was die Technik hergibt, steht oben. Was darüber hinaus gilt — Zweckbindung, Aufbewahrungsfristen, wer auswerten darf und was ausdrücklich nicht verwendet wird — gehört in eine Dienstvereinbarung. Ein ausfüllfertiges Muster liegt bereit.